医药出海先搞懂 FDA 21 CFR Part 11：照着做的合规清单

医药出海先搞懂 FDA 21 CFR Part 11：照着做的合规清单

很多中国医药企业第一次接触美国市场时，都会听到同一个问题：你们用的电子记录和电子签名，符合 FDA 21 CFR Part 11 吗？这个问题常常被误解成「某款软件有没有通过认证」——但 FDA 从不认证任何软件。Part 11 管的不是工具，而是当电子记录与电子签名替代纸质体系时，整条记录链是否仍然可信、可归属、可复现。这篇清单不堆条文，直接讲清楚三件事：Part 11 管不管你、它到底要求什么、你的企业该怎么做。

先破两个常见误区

误区一：「你的产品过没过 Part 11 认证？」FDA 从来没有认证过任何一款软件符合 Part 11。合规的责任主体是使用电子记录的受监管企业，不是软件厂商——厂商提供能力与文档，但预期用途、操作规程、培训、权限治理、记录留存与验证证据，都要企业自己负责。

误区二：「我们过了 GMP，电子记录就合规了。」GMP 管生产质量体系，Part 11 管电子记录与电子签名的可信度，审计时分开看。很多企业第一次在 FDA 检查或客户审计里暴露问题，就出在「以为过了」这三个字上。

Part 11 管不管你：先做范围判定

Part 11 是否适用，取决于是否存在前置法规（predicate rule）——FDA 其他法规中要求你「维护或提交某类记录」的条款（临床数据、生产批记录、实验室数据、医疗器械设计记录、食品安全记录都属于）。FDA 2003 年《范围与应用指南》明确：Part 11 只适用于这类受监管记录，不是一切电子记录。

更可能适用的情况：电子记录取代了纸质记录；纸电并存但实际依赖电子版本；记录以电子方式向 FDA 提交；电子签名被用作手写签名/批准/审核的等同物。可能不触发的情况：该记录并非前置法规要求留存；计算机只用来生成纸质记录且实际依赖纸质版本；属于 11.1 列出的排除情形；纯操作性记录。判定要在选型、配置、做验证之前完成，并按记录类型逐项留痕——同一个软件可以同时支持 Part 11 与非 Part 11 两类工作流。

背景一句话：美国电子签名法律是三层结构——联邦 ESIGN Act（2000）确认电子记录与手写签名同等效力，各州多采用 UETA，Part 11 在两者之上针对 FDA 场景叠加额外保障（双身份组件、防删除防篡改等）。它不是孤立一部法，而是「通用电子签名合法 + FDA 特殊保障」。

Part 11 要什么：一张表看清核心要求

审计追踪设计三个要点：记录哪些事件——不只是登录，还包括记录的创建/修改/删除/版本化、上传替换、审批驳回、签名执行与失败、权限与账号变更、API 提交、导出归档，每个事件记录「谁、做了什么、动了哪份记录、什么时间、结果状态」；时间与上下文——用一致时间源、明确时区，保留记录 ID、用户 ID、认证方式等上下文，别只靠人的显示名（会重名、会改名）；防篡改与复核——管理员不能静默改历史（管理角色与业务角色分离、受监督），事件日志不能被删改，还要有人定期复核——哪些事件常规查、哪些触发例外查、发现问题怎么升级留痕。

GMP/GxP 和 Part 11 是一回事吗

GxP（Good x Practice）是医药行业质量规范统称，核心是产品安全、有效与数据完整：GMP 管生产制造（批记录、偏差、变更控制），GLP 管非临床实验室（实验数据、报告），GCP 管临床试验（知情同意、病例报告表），GVP 管上市后药物警戒。关系一句话：GMP/GxP 是场景，Part 11 是管道——批记录审批、偏差关闭、变更放行、实验室复核、临床试验文件签署，这些文件一旦电子化就进入 Part 11 视野；Part 11 不关心你生产什么，只关心电子记录与签名是否可信、可归属、可复现。GMP 框架源于 WHO 与 FDA/EMA，对文档的要求本质就是记录完整性：纸质时代靠手写签名归档，数字化出海还要叠加别的辖区——欧盟看 EU GMP Annex 11（与 Part 11 呼应、更强调基于风险）与 eIDAS 签名分级（SES/AES/QES）；日本看 PMDA + GVP；中国看 NMPA 与《药品记录与数据管理要求》，敏感健康数据常要求境内存储。一家中国 CDMO 服务欧美客户，可能同时面对 NMPA 数据本地化、FDA Part 11、EU GMP Annex 11 三套要求。

企业怎么做：从上线到经得起查的 8 步

这是全文重点。每一步都给出要做的动作和要留下的产出——检查时查的就是这些产出。

第 1 步：盘点受监管记录，做范围判定。列出所有 FDA 前置法规要求维护/提交的记录，判断哪些已电子化、哪些要电子化；标出记录负责人、要求的签名类型、留存期、提交路径。产出：记录清单表（记录类型/前置法规依据/负责人/留存期/是否电子化/是否用电子签名）。

第 2 步：界定系统边界。写清电子签名平台在每条流程里负责什么；哪些连接系统（ERP、LIMS、EDC）仍是权威源；最终记录与审计证据存在哪里；跨系统时审计事件怎么串起来。产出：每类记录的工作流说明 + 系统边界图。

第 3 步：配置身份、权限与签名控制。签署人身份核验（分配签名前确认身份）、角色权限、签署含义下拉（审核/批准/放行/复核）、连续与非连续会话规则、凭证恢复与账号停用流程。产出：权限矩阵 + 账号生命周期管理规程。

第 4 步：配置审计追踪。确认系统事件覆盖第 2 节列的类型；时间戳一致；管理角色与业务角色分离；导出能保留事件顺序。产出：审计追踪配置说明 + 覆盖清单。

第 5 步：设计证据包。把「一份签完的批记录能拿出什么」走一遍：最终记录、签署人姓名、日期时间、签署含义、事件历史、导出格式。证据不全就在这里发现，而不是等检查。产出：证据包样例（每类 GxP 文档各一份）。

第 6 步：做验证。从第 1 步的记录出发，不搞「全功能一刀切验证」。把法规与业务要求写成可测试需求，建追溯矩阵（需求→风险→测试用例→结果→偏差→批准）。测试覆盖正常、负向与边界路径：未授权签名、过期账号、漏填签署含义、审批后改记录、断网重试、管理员改配置等。产出：验证计划 + 追溯矩阵 + 测试记录 + 偏差处置记录。

第 7 步：培训与 SOP。让签署人、审批人、管理员、IT 各知道自己该做什么；把「哪些流程需要常规审计复核、哪些事件触发例外复核、发现问题怎么升级」写成书面流程。产出：SOP + 培训记录。

第 8 步：持续运行与再验证。定期访问复核、账号清理；系统升级、集成变更、流程调整时评估是否触发再验证；把 FDA 检查官和客户审计要看的材料整理成固定清单，随时可交。产出：再验证触发条件清单 + 审计材料清单。

验证责任提醒：厂商能出验证文档包和能力说明，但验证决策与证据归企业所有——厂商文档只是输入材料，不是合规证明。

工具侧怎么配合：把 Part 11 要求映射到 eSign.AI 能力

8 步清单是「企业自己要做的事」，电子签名平台在其中承担「能力底座」角色。下面按 Part 11 的核心要求，对照 eSign.AI 实际提供的能力——不是让平台替你合规，而是帮你把第 3、4、5 步的证据自动、完整地留下来。

还有三组能力，落地时大概率用得上：AI 合规辅助——AI 风险检测（签署前扫出异常条款/风险点）、AI 协议摘要（长协议快速读懂）、AI 助手，用来加快「范围判定、需求梳理」这类案头工作；模板与批量——模板管理（把 GMP 的偏差报告、变更控制单做成固定模板）、批量发送（批记录/偏差单批量发起签署），对应 8 步里的标准化；集成能力——API/集成中心，把签署能力接进 ERP、LIMS、EDC 等系统，对应第 2 步「系统边界」里审计事件跨系统传递的要求。

（eSign.AI 是 e签宝旗下的国际品牌，面向出海与全球化企业提供电子签名与合同管理服务。）